(57)【要約】      （修正有）【課題】更新後の設備管理プログラムに動作異常が生じても運転を続行させることができるようにする。【解決手段】設備管理装置は、設備管理プログラム２５、２７によって機器を管理する。設備管理装置は、第１格納領域２２と、第２格納領域２３と、起動プログラム２９とを備えている。第１格納領域２２は、第１設備管理プログラム２５を格納する。第２格納領域２３は、第２設備管理プログラム２７を格納する。起動プログラム２９は、第１格納領域２２の第１設備管理プログラム２５および第２格納領域２３の第２設備管理プログラム２７のうちのいずれか一方を選択して起動する。【選択図】図３
2006244269.tif 000002
【特許請求の範囲】
【請求項１】
設備管理プログラム（２５、２７）によって機器（４）を管理する設備管理装置（２）であって、
第１設備管理プログラム（２５）を格納する第１格納領域（２２）と、
第２設備管理プログラム（２７）を格納する第２格納領域（２３）と、
前記第１格納領域（２２）の第１設備管理プログラム（２５）および前記第２格納領域（２３）の第２設備管理プログラム（２７）のうちのいずれか一方を選択して起動する起動プログラム（２９）と、
を備えている、設備管理装置（２）。
【請求項２】
前記起動プログラム（２９）は、所定のフラグ（４２）に基づいて、前記第１設備管理プログラム（２５）および前記第２設備管理プログラム（２７）のうちのいずれか一方を選択して起動する、
請求項１に記載の設備管理装置（２）。
【請求項３】
前記第１設備管理プログラム（２５）は、前記第２設備管理プログラム（２７）が前記第２格納領域（２３）に格納されたときに前記起動プログラム（２９）が前記第２設備管理プログラム（２７）を選択して起動するように前記フラグ（４２）を変更する機能を有する、
請求項２に記載の設備管理装置（２）。
【請求項４】
前記第２格納領域（２３）に前記第２設備管理プログラム（２７）を書き込む書き込み部（２０）、
をさらに備えている、
請求項１から３のいずれかに記載の設備管理装置（２）。
【請求項５】
前記第２設備管理プログラム（２７）は、前記第２設備管理プログラム（２７）が所定の時間だけ実行されたときに生じる動作不能に関する動作不能要因を検出する機能を有する、
請求項２に記載の設備管理装置（２）。
【請求項６】
前記第２設備管理プログラム（２７）は、前記動作不能要因が検出されたときに前記フラグ（４２）を変更する機能をさらに有する、
請求項５に記載の設備管理装置（２）。
【請求項７】
前記動作不能要因が検出されたことに起因して前記フラグ（４２）が変更されたときに、前記起動プログラム（２９）は、前記第１設備管理プログラム（２５）を起動する、
請求項６に記載の設備管理装置（２）。
【請求項８】
前記動作不能要因の検出結果に関する情報である検出結果情報を所定の送信先へ送信する検出結果情報送信部（１６）をさらに備えている、
請求項５から７のいずれかに記載の設備管理装置（２）。
【請求項９】
請求項１から８のいずれかに記載の設備管理装置（２）と、
前記設備管理装置（２）に接続され、前記設備管理装置（２）を遠隔監視する遠隔監視センターシステム（３）と、
を備えている、プログラム更新システム（１）。
【請求項１０】
前記第１設備管理プログラム（２５）は、前記遠隔監視センターシステム（３）に前記第２設備管理プログラム（２７）が存在するときに前記第２設備管理プログラム（２７）を前記第２格納領域（２３）にダウンロードする機能を有する、
請求項９に記載のプログラム更新システム（１）。
【請求項１１】
請求項１から８のいずれかに記載の設備管理装置（２）と、
前記設備管理装置（２）に接続され、前記第２設備管理プログラム（２７）を前記第２格納領域（２３）にアップロードする更新装置と、
を備えているプログラム更新システム（１）。
【請求項１２】
第１設備管理プログラム（２５）を格納する第１格納領域（２２）と第２設備管理プログラム（２７）を格納する第２格納領域（２３）とを備えている設備管理装置（２）が機器（４）を管理するための設備管理プログラム（２５、２７）の更新方法であって、
前記第２格納領域（２３）に、前記第２設備管理プログラム（２７）を書き込むステップと、
所定のフラグ（４２）に基づいて、前記第１格納領域（２２）の第１設備管理プログラム（２５）および前記第２格納領域（２３）の第２設備管理プログラム（２７）のうちのいずれか一方を選択して起動する起動ステップと、
を含む、設備管理プログラム（２５、２７）の更新方法。
【請求項１３】
第１設備管理プログラム（２５）を格納する第１格納領域（２２）と第２設備管理プログラム（２７）を格納する第２格納領域（２３）とを備えている、前記第１設備管理プログラム（２５）または第２設備管理プログラム（２７）によって機器（４）を管理する設備管理装置（２）のための、前記第１設備管理プログラム（２５）または第２設備管理プログラム（２７）を起動する起動プログラム（２９）であって、
所定のフラグ（４２）に基づいて、前記第１格納領域（２２）の第１設備管理プログラム（２５）および前記第２格納領域（２３）の第２設備管理プログラム（２７）のうちのいずれか一方を選択する、
起動プログラム（２９）。
【請求項１４】
設備管理プログラム（２５、２７）を格納する第１格納領域（２２）および第２格納領域（２３）と、所定のフラグ（４２）に基づいて前記第１格納領域（２２）および第２格納領域（２３）に格納される前記設備管理プログラム（２５、２７）のうちのいずれか一方を選択して起動する起動プログラム（２９）とを備えた設備管理装置（２）が機器（４）を管理するための設備管理プログラム（２５、２７）であって、
前記設備管理プログラム（２７）が前記第２格納領域（２３）に格納されたときに前記起動プログラム（２９）が前記第２格納領域（２３）の設備管理プログラム（２７）を選択して起動するように前記フラグ（４２）を変更する機能を有する、
設備管理プログラム（２５、２７）。
【請求項１５】
前記第２格納領域（２３）の設備管理プログラム（２７）が所定の時間だけ実行されたときに生じる動作不能に関する動作不能要因を検出する機能をさらに有する、
請求項１４に記載の設備管理プログラム（２５、２７）。
【請求項１６】
前記動作不能要因が検出されたときに、前記フラグ（４２）を変更する機能をさらに有する、
請求項１５記載の設備管理プログラム（２５、２７）。
【請求項１７】
前記動作不能を検出する機能は、前記設備管理装置（２）におけるメモリアロケーション処理の失敗を検出する機能を含む、請求項１５記載の設備管理プログラム。
【請求項１８】
前記動作不能を検出する機能は、前記設備管理装置（２）の制御部（１５）が発生する例外トラップを検出する機能を含む、請求項１５記載の設備管理プログラム。
【請求項１９】
前記動作不能を検出する機能は、設備管理プログラムの実行に用いられる設定値の不整合を検出する機能を含む、請求項１５記載の設備管理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、設備管理装置、プログラム更新システム、設備管理プログラム更新方法、起動プログラム、および設備管理プログラムに関する。
【背景技術】
【０００２】
従来より、遠隔のプログラム更新装置からネットワーク経由で更新対象の装置へプログラムの更新を行うための種々の方法が提案されている。
特許文献１記載のプログラム更新方法では、電子機器制御プログラムおよびダウンロードプログラムを含むリモートダウンローダが自ら更新対象の装置へダウンロードするとともに動作確認を行い、動作良好と判定した場合には自ら起動動作を行う。
【特許文献１】特開２００３−３３０７２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、一般的には、プログラム更新の際に、更新対象の装置へ送信されるプログラムが更新対象の装置でうまく動作しない場合には、更新対象の装置の運転が中断される。そのため、管理者等が更新対象の装置の設置される現場へ行き、点検・修理を行う必要がある。そのため、手間と時間がかかる。
また、特許文献１記載のプログラム更新方法では、リモートダウンローダ自ら起動する機能を有するので、設計自由度に制限がある。
【０００４】
本発明の課題は、更新後の設備管理プログラムに動作異常が生じても運転を続行させることができ、しかも設備管理プログラムの設計自由度が拡大された、設備管理装置、プログラム更新システム、設備管理プログラム更新方法、起動プログラム、および設備管理プログラムを提供することにある。
【課題を解決するための手段】
【０００５】
第１発明の設備管理装置は、設備管理プログラムによって機器を管理する。設備管理装置は、第１格納領域と、第２格納領域と、起動プログラムとを備えている。第１格納領域は、第１設備管理プログラムを格納する。第２格納領域は、第２設備管理プログラムを格納する。起動プログラムは、第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方を選択して起動する。
【０００６】
ここでは、起動プログラムが第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方を選択して起動するので、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムが起動されて、設備管理装置の運転が続行される。また、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動する機能を有しているので、第１設備管理プログラムおよび第２設備管理プログラムの設計自由度が拡大される。
【０００７】
第２発明の設備管理装置は、第１発明の設備管理装置であって、起動プログラムは、所定のフラグに基づいて、第１設備管理プログラムおよび第２設備管理プログラムのうちのいずれか一方を選択して起動する。
ここでは、フラグを変更することにより、起動プログラムによって、第１設備管理プログラムおよび第２設備管理プログラムのうちのいずれか一方が選択されて起動される。
【０００８】
第３発明の設備管理装置は、第２発明の設備管理装置であって、第１設備管理プログラムは、フラグを変更する機能を有する。第２設備管理プログラムが第２格納領域に格納されたときに、第１設備管理プログラムは、起動プログラムが第２設備管理プログラムを選択して起動するようにフラグを変更する。
ここでは、第２設備管理プログラムが第２格納領域に格納されたときに、フラグが変更され、起動プログラムによって、第２設備管理プログラムが選択されて起動される。
【０００９】
第４発明の設備管理装置は、第１発明から第３発明のいずれかの設備管理装置であって、書き込み部をさらに備えている。書き込み部は、第２格納領域に第２設備管理プログラムを書き込む。
ここでは、書き込み部によって、第２格納領域に第２設備管理プログラムが書き込まれる。
【００１０】
第５発明の設備管理装置は、第２発明の設備管理装置であって、第２設備管理プログラムは、動作不能要因を検出する機能を有する。動作不能要因は、第２設備管理プログラムが所定の時間だけ実行されたときに生じる動作不能に関する。
ここでは、第２設備管理プログラムによって、第２設備管理プログラムの実際の動作状況から動作不能が検出される。
【００１１】
第６発明の設備管理装置は、第５発明の設備管理装置であって、第２設備管理プログラムは、動作不能要因が検出されたときにフラグを変更する機能をさらに有する。
ここでは、第２設備管理プログラムの実際の動作状況における動作不能を検出したときに、フラグを変更する。
【００１２】
第７発明の設備管理装置は、第６発明の設備管理装置であって、動作不能要因が検出されたことに起因してフラグが変更されたときに、起動プログラムは、第１設備管理プログラムを起動する。
ここでは、第２設備管理プログラムを実行したときの動作不能要因が検出されたときに、第１設備管理プログラムが選択されて起動される。
【００１３】
第８発明の設備管理装置は、第５発明から第７発明のいずれかの設備管理装置であって、検出結果情報送信部をさらに備えている。検出結果情報送信部は、検出結果情報を所定の送信先へ送信する。検出結果情報は、動作不能要因の検出結果に関する情報である。
ここでは、検出結果情報送信部によって、動作不能要因の検出結果を所定の送信先へ送信する。
第９発明のプログラム更新システムは、設備管理装置と、遠隔監視センターシステムとを備えている。設備管理装置は、第１発明から第８発明のいずれかの設備管理装置である。遠隔監視センターシステムは、設備管理装置に接続されている。遠隔監視センターシステムは、設備管理装置を遠隔監視する
ここでは、起動プログラムが第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方を選択して起動するので、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムが起動されて、設備管理装置の運転が続行される。また、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動する機能を有しているので、第１設備管理プログラムおよび第２設備管理プログラムの設計自由度が拡大される。しかも、遠隔監視センターシステムからの遠隔監視が可能である。
【００１４】
第１０発明のプログラム更新システムは、第９発明のプログラム更新システムであって、第１設備管理プログラムは、第２設備管理プログラムをダウンロードする機能を有する。第１設備管理プログラムは、遠隔監視センターシステムに第２設備管理プログラムが存在するときに第２設備管理プログラムを第２格納領域にダウンロードする。
ここでは、第２設備管理プログラムは、遠隔監視センターシステムから第２格納領域へダウンロードされる。
【００１５】
第１１発明のプログラム更新システムは、設備管理装置と、更新装置とを備えている。設備管理装置は、第１発明から第８発明のいずれかの設備管理装置である。更新装置は、設備管理装置に接続されている。更新装置は、第２設備管理プログラムを第２格納領域にアップロードする。
ここでは、起動プログラムが第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方を選択して起動するので、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムが起動されて、設備管理装置の運転が続行される。また、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動する機能を有しているので、第１設備管理プログラムおよび第２設備管理プログラムの設計自由度が拡大される。しかも、管理者等が設備管理装置の設置場所に出向いて、更新装置から第２設備管理プログラムを第２格納領域にアップロードする。
【００１６】
第１２発明の設備管理プログラム更新方法は、設備管理装置が機器を管理するための設備管理プログラムの更新方法である。設備管理装置は、第１格納領域と第２格納領域とを備えている。第１格納領域は、第１設備管理プログラムを格納する。第２格納領域は、第２設備管理プログラムを格納する。この設備管理プログラムの更新方法は、書き込みステップと、起動ステップとを含む。書き込みステップでは、第２設備管理プログラムが第２格納領域に書き込まれる。起動ステップでは、所定のフラグに基づいて、第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方が選択されて起動される。
ここでは、第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方が選択されて起動されるので、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムが起動されて、設備管理装置の運転が続行される。
【００１７】
第１３発明の起動プログラムは、第１設備管理プログラムまたは第２設備管理プログラムを起動する。第１設備管理プログラムまたは第２設備管理プログラムは、機器を管理する設備管理装置のためのプログラムである。設備管理装置は、第１格納領域と第２格納領域とを備えている。第１格納領域は、第１設備管理プログラムを格納する。第２格納領域は、第２設備管理プログラムを格納する。起動プログラムは、所定のフラグに基づいて、第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方を選択する。
ここでは、起動プログラムによって、第１格納領域の第１設備管理プログラムおよび第２格納領域の第２設備管理プログラムのうちのいずれか一方が選択されて起動されるので、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムが起動されて、設備管理装置の運転が続行される。
【００１８】
第１４発明の設備管理プログラムは、設備管理装置が機器を管理するためのプログラムである。設備管理装置は、第１格納領域および第２格納領域と、起動プログラムとを備えている。第１格納領域および第２格納領域は、設備管理プログラムを格納する。起動プログラムは、所定のフラグに基づいて第１格納領域および第２格納領域に格納される設備管理プログラムのうちのいずれか一方を選択して起動する。設備管理プログラムは、フラグを変更する機能を有する。設備管理プログラムが第２格納領域に格納されたときに、設備管理プログラムは、起動プログラムが第２格納領域の設備管理プログラムを選択して起動するようにフラグを変更する。
ここでは、設備管理プログラムが第２格納領域に格納されたときに、フラグが変更される。
【００１９】
第１５発明の設備管理プログラムは、第１４発明の設備管理プログラムであって、動作不能要因を検出する機能を有する。動作不能要因は、第２格納領域の設備管理プログラムが所定の時間だけ実行されたときに生じる動作不能に関する。
ここでは、第２格納領域の設備管理プログラムの実際の動作状況から動作不能が検出される。
【００２０】
第１６発明の設備管理プログラムは、第１５発明の設備管理プログラムであって、動作不能要因が検出されたときにフラグを変更する機能をさらに有する。
ここでは、設備管理プログラムの実際の動作状況における動作不能を検出したときに、フラグを変更する。
【００２１】
第１７発明の設備管理プログラムは、第１５発明の設備管理プログラムであって、動作不能を検出する機能は、設備管理装置におけるメモリアロケーション処理の失敗を検出する機能を含む。
ここでは、設備管理装置におけるメモリアロケーション処理の失敗を検出することによって、動作不能を検出する。
【００２２】
第１８発明の設備管理プログラムは、第１５発明の設備管理プログラムであって、動作不能を検出する機能は、例外トラップを検出する機能を含む。設備管理装置の制御部は、例外トラップを発生する
ここでは、設備管理装置の制御部が発生する例外トラップを検出することによって、動作不能を検出する。
【００２３】
第１９発明の設備管理プログラムは、第１５発明の設備管理プログラムであって、動作不能を検出する機能は、設備管理プログラムの実行に用いられる設定値の不整合を検出する機能を含む。
ここでは、設備管理プログラムの実行に用いられる設定値の不整合を検出することによって、動作不能を検出する。
【発明の効果】
【００２４】
第１発明によれば、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムを復帰させて、設備管理装置の運転を続行させることができる。しかも、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動するので、設備管理プログラムの設計自由度が拡大する。
第２発明によれば、フラグを変更することにより、第１設備管理プログラムおよび第２設備管理プログラムのうちのいずれか一方を選択して起動することができる。
【００２５】
第３発明によれば、第２設備管理プログラムが第２格納領域に格納されたときに、第２設備管理プログラムを自動的に選択して起動させることができる。
第４発明によれば、第２設備管理プログラムを第２格納領域に格納することができる。
第５発明によれば、第２設備管理プログラムの実際の動作状況から動作不能を検出することができる。
【００２６】
第６発明によれば、第２設備管理プログラムの実際の動作不能を検出したときに、フラグを変更することができる。
第７発明によれば、第２設備管理プログラムの実際の動作不能が検出されたときに、第１設備管理プログラムを自動的に起動させることができる。
第８発明によれば、検出結果情報を所定の送信先へ送信することができる。これによって、設備管理プログラムの更新の成功または失敗を遠隔地で知ることができる。
【００２７】
第９発明によれば、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムを復帰させて、設備管理装置の運転を続行させることができる。しかも、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動するので、設備管理プログラムの設計自由度が拡大する。また、遠隔監視センターシステムから遠隔監視を行うことができる。
【００２８】
第１０発明によれば、遠隔監視センターシステムから第２設備管理プログラムを第２格納領域にダウンロードすることができる。
第１１発明によれば、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムを復帰させて、設備管理装置の運転を続行させることができる。しかも、起動プログラムが第１設備管理プログラムおよび第２設備管理プログラムを起動するので、設備管理プログラムの設計自由度が拡大する。また、管理者等が設備管理装置の設置場所に出向いて、更新装置から第２設備管理プログラムを第２格納領域にアップロードすることができる。
【００２９】
第１２発明によれば、第２設備管理プログラムに動作異常が生じても、第１設備管理プログラムを復帰させて、設備管理装置の運転を続行させることができる。
第１３発明によれば、フラグを変更することにより、第１設備管理プログラムおよび第２設備管理プログラムのうちのいずれか一方を選択して起動することができる。
第１４発明によれば、第２設備管理プログラムが第２格納領域に格納されたときに、第２設備管理プログラムを自動的に選択して起動させることができる。
【００３０】
第１５発明によれば、第２設備管理プログラムの実際の動作状況から動作不能を検出することができる。
第１６発明によれば、第２設備管理プログラムの実際の動作不能を検出したときに、フラグを変更することができる。
第１７発明によれば、設備管理装置におけるメモリアロケーション処理の失敗を検出することによって、動作不能を検出することができる。
【００３１】
第１８発明によれば、設備管理装置の制御部が発生する例外トラップを検出することによって、動作不能を検出することができる。
第１９発明によれば、設備管理プログラムの実行に用いられる設定値の不整合を検出することによって、動作不能を検出することができる。
【発明を実施するための最良の形態】
【００３２】
つぎに、本発明の実施形態に係る設備管理装置、プログラム更新システム、設備管理プログラム更新方法、起動プログラム、および設備管理プログラムについて、図面を参照しながら詳細に説明する。
【００３３】
＜プログラム更新システム１の構成＞
図１に示されるように、プログラム更新システム１は、設備管理機器が機器を管理するために用いられる設備管理プログラム（以下、プログラムという）を更新するシステムであり、主要な構成として、設備管理装置である空調システム監視制御用コントローラ（以下、コントローラという）２と、遠隔監視センターシステム３とを備えている。
コントローラ２は、複数の空調機器４の運転を制御および監視するコントローラである。コントローラ２は、プログラムを用いて複数の空調機器４を管理する。コントローラ２は、複数の空調機器４に信号線６を介して通信可能に接続されている。空調機器４は、室内機および室外機の両方を含む。コントローラ２は、プログラムを用いて、空調機器４の管理を行う。
【００３４】
コントローラ２と遠隔監視センターシステム３とは、インターネットなどの通信網５を介して通信可能に接続されている。
コントローラ２には、第１設備管理プログラムである更新前のプログラム（以下、更新前プログラムという）が存在している。更新前プログラムが第２設備管理プログラムである更新後のプログラム（以下、更新後プログラムという）へ更新されるときには、更新後プログラムが遠隔監視センターシステム３からコントローラ２へダウンロードされる。
【００３５】
＜コントローラ２の構成＞
図２に示されるように、コントローラ２は、受信部１３と、送信部１４と、制御部１５と、検出結果情報送信部１６と、表示部１８と、運転操作部１９と、書き込み部２０と、不揮発性メモリ２１とを備えている。
受信部１３は、遠隔監視センターシステム３からダウンロードされた更新後プログラムを受信する。受信部１３は、遠隔監視センターシステム３からの遠隔制御信号等の種々の信号も受信する。
送信部１４は、遠隔監視センターシステム３へ、空調機器４の監視に関する情報を定期的に送信する。
【００３６】
制御部１５は、複数の空調機器４の運転を制御および監視するＣＰＵである。また、制御部１５は、コントローラ２の内部の各構成要素（受信部１３、送信部１４、検出結果情報送信部１６、表示部１８、運転操作部１９、書き込み部２０、および不揮発性メモリ２１）の動作を制御する。
また、制御部１５は、実行できない命令や、存在しないアドレスへのアクセスや、書き込み不能なアクセスに対して例外トラップを発生する機能を有する。
【００３７】
表示部１８は、コントローラ２による複数の空調機器４の制御に関する情報、および更新動作の状況に関する情報を表示する。
運転操作部１９は、管理者等が複数の空調機器４の運転制御を行うための操作部である。
書き込み部２０は、遠隔監視センターシステム３から受信部１３へ送信された更新後プログラム２７（図３参照）を不揮発性メモリ２１に書き込む。
【００３８】
不揮発性メモリ２１は、図３に示されるように、第１格納領域２２と、第２格納領域２３と、ＩＰＬ格納領域２４と、対応テーブル格納領域４０とを有している。
第１格納領域２２は、更新前プログラム２５を格納する。また、第１格納領域２２には、パラメータ領域２６が含まれる。同様に、第２格納領域２３は、更新後プログラム２７を格納する。また、第２格納領域２３には、パラメータ領域２８が含まれる。
【００３９】
ＩＰＬ格納領域２４は、更新前プログラム２５および更新後プログラム２７のいずれか一方を起動させる起動プログラムであるイニシャル・プログラム・ローダ（Initial Program Loader）（以下、ＩＰＬという）２９を格納する。また、第ＩＰＬ格納領域２４には、パラメータ領域３０が含まれる。
更新前プログラム２５および更新後プログラム２７のいずれか一方、またはＩＰＬ２９は、制御部１５によって実行される。
【００４０】
更新前プログラム２５で用いられるパラメータは、パラメータ領域２６に格納されている。更新前プログラム２５から更新後プログラム２７へ更新されるときには、パラメータ領域２６に格納されているパラメータが、ＩＰＬ２９のためのパラメータ領域３０へ格納された後、更新後プログラム２７のためのパラメータ領域２８へ格納される。
ＩＰＬ２９は、所定のフラグ４２（図８参照）に基づいて、更新前プログラム２５および更新後プログラム２７のうちのいずれか一方を選択して起動するプログラムである。
【００４１】
対応テーブル格納領域４０に格納される対応テーブル４１は、図８に示されるように、
更新前プログラム２５または更新後プログラム２７に関連する動作に対応して、更新前プログラム２５および更新後プログラム２７のいずれか一方を選択するためのフラグ４２が変更される。図８において、フラグ４２が立っている状態が「１」で示され、フラグ４２がない状態が「０」で示されている。
【００４２】
フラグ４２を変更する機能は、更新前プログラム２５および更新後プログラム２７の両方が有している。具体的には、更新前プログラム２５は、更新後プログラム２７が第２格納領域２３に格納されたときにＩＰＬ２９が第２格納領域２３の更新後プログラム２７を選択して起動するようにフラグ４２を変更する機能を有する。また、更新後プログラム２７は、更新後プログラム２７が所定の時間（例えば、１０分程度）だけ実行されたときに生じる動作不能に関する動作不能要因を検出する機能、および動作不能要因が検出されたときにフラグを変更する機能をさらに有する。
【００４３】
フラグ４２は、図８に示されるＩ〜ＩＶの状態のときに、以下のように変更される。
状態Ｉにおいて、更新前プログラム２５による通常動作が行われているときには、フラグ４２は、更新前プログラム２５を選択する側に立っている。したがって、ＩＰＬ２９は、更新前プログラム２５を選択して起動するように制御部１５を制御する。
状態IIにおいて、更新後プログラム２７がダウンロードされ、更新後プログラム２７が第２格納領域２３に格納されたときには、更新前プログラム２５は、フラグ４２を、更新後プログラム２７を選択する側に変更するように制御部１５を制御する。したがって、ＩＰＬ２９は、更新後プログラム２７を選択して起動するように制御部１５を制御する。
【００４４】
状態IIIにおいて、更新後プログラム２７の動作不能が検出されたときには、更新後プログラム２７は、フラグ４２を、更新前プログラム２５を選択する側に変更するように制御部１５を制御する。したがって、ＩＰＬ２９は、更新前プログラム２５を選択して起動するように制御部１５を制御する。
状態IVにおいて、更新後プログラム２７の動作不能が検出されなかったときには、フラグ４２は、状態IIと同様に、更新後プログラム２７を選択する側に立っている。したがって、ＩＰＬ２９は、更新後プログラム２７を選択して起動するように制御部１５を制御する。
検出結果情報送信部１６は、動作不能要因の検出結果に関する情報である検出結果情報を所定の送信先である遠隔監視センターシステム３および管理者等の携帯端末（図示せず）へ送信する。
【００４５】
＜プログラム更新方法の手順＞
つぎに、第１実施形態のコントローラ２におけるソフトウェアの更新の手順を、図５〜図７のフローチャート、および図４のプログラムの更新動作を時系列的に示したモデル図を参照しながら説明する。
【００４６】
まず、図５のステップＳ１において、制御部１５は、更新前プログラム２５を実行して、遠隔監視センターシステム３へ１日１回程度定期的にアクセスする。
ついで、ステップＳ２において、制御部１５は、遠隔監視センターシステム３に更新後プログラム２７が存在するか調べる。更新後プログラム２７が存在するとき（ステップＳ２におけるＹｅｓのとき）には、ステップＳ３へ進み、更新後プログラム２７が存在しないとき（ステップＳ２におけるＮｏのとき）には、ステップＳ１へ戻る。
ステップＳ３において、制御部１５は、更新後プログラム２７をコントローラ２へダウンロードする。
【００４７】
ついで、ステップＳ４において、更新後プログラム２７がダウンロードされて第２格納領域２３に格納されたときには、制御部１５は、更新前プログラム２５にしたがって、フラグ４２を更新後プログラム２７を選択する側に変更する。
【００４８】
フラグ４２の変更によって、ステップＳ５において、制御部１５は、ＩＰＬ２９にしたがって、更新後プログラム２７を選択して起動する。
ついで、ステップＳ６において、制御部１５は、更新後プログラム２７にしたがって、空調機器４の状態監視時間（図４参照）において、更新後プログラム２７の動作不能を検出する。空調機器４の状態監視時間は所定の時間が設定され、１０分程度である。
【００４９】
ここで、動作不能の要因は、
a)対象ハードウェア以外のオブジェクトファイルをダウンロードしたことによる要因、
b)各処理に必要な設定等を読み込めないプログラムをダウンロードしたことによる要因、および
c)空調機器４に接続されるデバイスと、そのデバイスの処理プログラムとが合致していないことによる要因、
が挙げられるが、制御部１５は、これらの要因a)〜c)をすべて検出する。
【００５０】
動作不能の検出動作は、具体的には、まず、図７に示されるように、ステップＳ２１において、制御部１５は、コントローラ２のハードウェアに対するデバイスチェックを行う。
具体的には、制御部１５は、デバイスのアドレスチェックを行い、アクセスできないメモリ、処理できない割り込み等により例外トラップを検出する。いいかえれば、実行できない命令、データの大きさとメモリのアライメントが一致しないメモリアクセス、または存在しないメモリへのアクセス等のCPU例外の発生によって動作不能の検出を行う。また、制御部１５は、メモリアロケーション時に、メモリアロケーション処理の失敗（メモリが足りない等による失敗）を検出するようにすることで、動作不能の検出を行う。
【００５１】
つぎに、ステップＳ２２において、制御部１５は、不揮発性メモリ２１の上の設定読み込みチェックを行う。基本的には、各処理に必要な設定を読み出し、そのデータの整合性を順番にチェックし、不正を検出する。なお、設定値には、空調機器４と関連する値（空調機器４との組み合わせ）も含まれる。
さらに、ステップＳ２３において、制御部１５は、更新後プログラム２７を実際に実行し、全ての監視対象に対して監視制御を一通り行う。すなわち、制御部１５は、全ての監視対象である空調機器４の存在や状態を一通りチェックし、不正を検出する。具体的には、空調機器４ごとに、送られてくるデータフォーマットや、とり得る運転状態が異なる。ソフトウェアの不具合等により、空調機器４より得たデータの正しい解釈ができず1)空調機器４からのセンサ値が、センサ値（温度、圧力等）のとり得る値でない状態、2)空調機器４のアクチュエータ値が、定義されているものでない状態、および3)センサ、アクチュエータから計算する値（能力値、電力値等）が、計算可能な値でない状態、などを検出することによって、一通りのチェックを行う。
【００５２】
以上の動作不能の検出動作が終了したのち、図６のステップＳ７へ進む（図５〜図６の丸Ａ参照）。
ついで、ステップＳ７において、動作不能が検出されたか否か判別する。動作不能が検出されなかった場合（ステップＳ７におけるＮｏのとき）には、ステップＳ８へ進む（図４におけるフロー（ａ）参照）。
【００５３】
ステップＳ８において、制御部１５は、検出結果情報送信部１６に対して、遠隔監視センターシステム３へ更新の成功を通知するように制御する。具体的には、検出結果情報送信部１６は、更新後プログラム２７が実行されていることを遠隔監視センターシステム３へ通知することにより、更新の成功を通知する。
ついで、ステップＳ９において、制御部１５は、更新前プログラム２５を削除して、一連のプログラム更新の動作を終了する。この場合、制御部１５は、更新後プログラム２７の実行を継続している。
【００５４】
一方、ステップＳ７において、動作不能が検出された場合（ステップＳ７におけるＹｅｓのとき）にはステップＳ１０へ進む（図４におけるフロー（ｂ）参照）。
ステップＳ１０において、制御部１５は、更新後プログラム２７にしたがって、フラグ４２を更新前プログラム２５を選択する側に変更する。
フラグ４２の変更によって、ステップＳ１１において、制御部１５は、ＩＰＬ２９にしたがって、更新前プログラム２５を選択して起動する。
【００５５】
そののち、ステップＳ１２において、制御部１５は、検出結果情報送信部１６に対して、遠隔監視センターシステム３へ更新の失敗を通知するように制御する。具体的には、検出結果情報送信部１６は、更新前プログラム２５が実行されていることを遠隔監視センターシステム３へ通知することにより、更新の失敗を通知する。通知後、一連のプログラム更新の動作は終了するが、この場合、制御部１５は、更新前プログラム２５を実行する。
なお、ステップＳ３における更新後プログラム２７のダウンロードから所定の時間経過してもステップＳ８またはステップＳ１２における通知が遠隔監視センターシステム３で受信されないときは、遠隔監視センターシステム３は、更新が失敗したと判定する。
更新後プログラム２７に更新された後、さらに新たなプログラムへの更新が行われるときには、第２格納領域２３の更新後プログラム２７が「更新前プログラム」となるので、第２格納領域２３は、実質的に上記の第１格納領域２２として機能し、一方、第１格納領域２２は、実質的に上記の第２格納領域２３として機能して新しい「更新後プログラム」を格納する。これにより、前述のプログラム更新を実行することができる。
【００５６】
＜第１実施形態の特徴＞
（１）
第１実施形態では、ＩＰＬ２９が、所定のフラグ４２に基づいて、第１格納領域２２の更新前プログラム２５および第２格納領域２３の更新後プログラム２７のうちのいずれか一方を選択して起動する。したがって、更新後プログラム２７に動作異常が生じても、更新前プログラム２５が起動されて、コントローラ２の運転が続行される。
（２）
第１実施形態では、ＩＰＬ２９が更新前プログラム２５および更新後プログラム２７を起動する機能を有しているので、更新前プログラム２５および更新後プログラム２７は、それら自身で起動する機能は不要になり、更新前プログラム２５および更新後プログラム２７の設計自由度が拡大される。
（３）
第１実施形態では、更新前プログラム２５は、更新後プログラム２７が第２格納領域２３に格納されたときにＩＰＬ２９が更新後プログラム２７を選択して起動するようにフラグ４２を変更する機能を有する。したがって、更新後プログラム２７が第２格納領域２３に格納されたときに、フラグ４２が変更され、ＩＰＬ２９によって、更新後プログラム２７が選択されて起動される。
（４）
第１実施形態では、コントローラ２は、書き込み部２０を備えているので、書き込み部２０によって、第２格納領域２３に更新後プログラム２７が書き込まれる。
（５）
第１実施形態では、更新後プログラム２７は、更新後プログラム２７が所定の時間だけ実行されたときに生じる動作不能に関する動作不能要因を検出する機能を有する。したがって、更新後プログラム２７によって、更新後プログラム２７の実際の動作状況から動作不能が検出される。
（６）
第１実施形態では、更新後プログラム２７は、動作不能要因が検出されたときにフラグ４２を変更する機能を有する。動作不能要因が検出されたことに起因してフラグ４２が変更されたときに、ＩＰＬ２９は、更新前プログラム２５を起動する。したがって、更新後プログラム２７を実行したときの動作不能要因が検出されたときに、ＩＰＬ２９によって、更新前プログラム２５が選択されて起動される。
（７）
第１実施形態では、コントローラ２は、動作不能要因の検出結果に関する情報である検出結果情報を所定の送信先へ送信する検出結果情報送信部１６を備えているので、検出結果情報送信部１６によって、動作不能要因の検出結果は、所定の送信先である遠隔監視センターシステム３および管理者等の携帯端末へ送信される。
（８）
第１実施形態では、プログラム更新システム１は、コントローラ２と、コントローラ２に接続され、コントローラ２を遠隔監視する遠隔監視センターシステム３とを備えている。したがって、遠隔監視センターシステム３からのコントローラ２の遠隔監視が可能である。また、ＩＰＬ２９が第１格納領域２２の更新前プログラム２５および第２格納領域２３の更新後プログラム２７のうちのいずれか一方を選択して起動するので、更新後プログラム２７に動作異常が生じても、更新前プログラム２５が起動されて、コントローラ２の運転が続行される。また、ＩＰＬ２９が更新前プログラム２５および更新後プログラム２７を起動する機能を有しているので、更新前プログラム２５および更新後プログラム２７の設計自由度が拡大される。
（９）
第１実施形態では、プログラム更新システム１において、更新前プログラム２５は、遠隔監視センターシステム３に更新後プログラム２７が存在するときに更新後プログラム２７を第２格納領域２３にダウンロードする機能を有する。したがって、遠隔監視センターシステム３に更新後プログラム２７が存在するときに、更新後プログラム２７は、第２格納領域２３にダウンロードされる。
（１０）
第１実施形態のプログラム更新方法は、第２格納領域２３に更新後プログラム２７を書き込むステップと、所定のフラグ４２に基づいて、第１格納領域２２の更新前プログラム２５および第２格納領域２３の更新後プログラム２７のうちのいずれか一方を選択して起動する起動ステップとを含む。したがって、第１格納領域２２の更新前プログラム２５および第２格納領域２３の更新後プログラム２７のうちのいずれか一方が選択されて起動されるので、更新後プログラム２７に動作異常が生じても、更新前プログラム２５が起動されて、コントローラ２の運転が続行される。
＜第１実施形態の変形例＞
（Ａ）
第１実施形態では、プログラムを格納するために２つの格納領域が備わったコントローラ２を例に挙げて説明されているが、本発明はこれに限定されるものではない。すなわち、更新前プログラムおよび更新後プログラムを別個に格納するための格納領域が少なくとも２つあればよく、コントローラ２は、３個以上の格納領域を備えていてもよい。
（Ｂ）
第１実施形態では、更新前プログラム２５は、ダウンロード時にフラグ４２を変更する機能、すなわち、更新後プログラム２７が第２格納領域２３に格納されたときにＩＰＬ２９が第２格納領域２３の更新後プログラム２７を選択して起動するようにフラグ４２を変更する機能を有しているが、本発明はこれに限定されるものではない。更新前プログラム２５および更新後プログラム２７のうちの少なくとも更新前プログラム２５が、この機能を有していれば上記の実施形態と同様の作用効果を奏することができる。したがって、更新前プログラム２５および更新後プログラム２７の両方が、この機能を有していてもよい。
（Ｃ）
第１実施形態では、更新後プログラム２７は、更新後プログラム２７が所定の時間だけ実行されたときに生じる動作不能に関する動作不能要因を検出する機能、および動作不能要因が検出されたときにフラグを変更する機能をさらに有しているが、本発明はこれに限定されるものではない。更新前プログラム２５および更新後プログラム２７のうちの少なくとも更新後プログラム２７が、これらの機能を有していれば上記の実施形態と同様の作用効果を奏することができる。したがって、更新前プログラム２５および更新後プログラム２７の両方が、これらの機能を有していてもよい。
（Ｄ）
第１実施形態では、動作不能が検出されたときに更新前プログラムを起動させる例が示されているが、更新前プログラムを起動させる代わりに、あらかじめ格納された代替用のプログラムを起動させてもよい。この場合も、更新後プログラム２７に動作異常が生じてもコントローラ２の運転を続行させることができる。
（Ｅ）
第１実施形態では、メモリアロケーションを考慮した構成になっているが、本発明ではこれに限定されるものではなく、メモリアロケーションを考慮しない構成であってもよい。メモリアロケーションを考慮しない構成として、たとえば、言語使用として、メモリ取得開放を行っている言語（ＪＡＶＡ＜登録商標＞、Ｃ＃等）を使用し、ガベージコレクションを含んだメモリアロケーションライブラリを使用した構成であれば、メモリ開放忘れによる使用可能なメモリの減少を考慮しなくてもよく、しかも、開放忘れを防ぐ必要がないため、プログラムロジックの記述性の自由度が向上する等の利点がある。
【００５７】
［第２実施形態］
上記の第１実施形態のプログラム更新システムは、遠隔監視センターシステム３がコントローラ２に接続された構成になっているが、遠隔監視センターシステム３の代わりに、携帯可能なノートパソコンなどの更新装置を、コントローラ２に接続してもよい。
すなわち、第２実施形態のプログラム更新システムは、コントローラ２（図１参照）と、コントローラ２に接続され、更新後プログラム２７（図３参照）を第２格納領域２３にアップロードする更新装置とを備えている。コントローラ２の構成は、第１実施形態のコントローラ２の構成と共通している。
このような構成によれば、管理者等がコントローラ２の設置場所に出向いて、更新装置から更新後プログラム２７を第２格納領域２３にアップロードすることができる。しかも、第１実施形態のプログラム更新システム１と同様に、更新後プログラム２７に動作異常が生じても更新前プログラム２５が起動して、コントローラ２の運転を続行させることができる。また、ＩＰＬ２９が更新前プログラム２５および更新後プログラム２７を起動するための機能を有しているので、更新前プログラム２５および更新後プログラム２７の設計自由度が拡大される。
【産業上の利用可能性】
【００５８】
本発明の設備管理装置、プログラム更新システム、設備管理プログラム更新方法、起動プログラム、および設備管理プログラムは、上記の実施形態のように、空調システム監視制御コントローラの設備管理プログラム更新のために採用され得るが、本発明はこれに限定されるものではない。さらに、本発明は、プログラムによって機器を管理する種々のコントローラ等のプログラム更新のためにも採用され得る。
【図面の簡単な説明】
【００５９】
【図１】本発明の第１実施形態に係るプログラム更新システムの構成図。
【図２】図１のコントローラの構成を示すブロック図。
【図３】図２の不揮発性メモリの構成を示すブロック図。
【図４】本発明の第１実施形態に係るプログラム更新方法におけるプログラム更新動作を時系列的に示したモデル図。
【図５】本発明の第１実施形態に係るプログラム更新方法の手順を示すフローチャートの前半部分。
【図６】本発明の第１実施形態に係るプログラム更新方法の手順を示すフローチャートの後半部分。
【図７】図５の動作不能検出動作の手順を示すフローチャート。
【図８】本発明の第１実施形態に係るプログラムに関連する動作とフラグの立つ側との関係を示す対応テーブル。
【符号の説明】
【００６０】
１  プログラム更新システム
２  空調システム監視制御用コントローラ（コントローラ）
３  遠隔監視センターシステム
４  空調機器
５  通信網
１５  制御部
１６  検出結果情報送信部
２１  不揮発性メモリ
２２  第１格納領域
２３  第２格納領域
２４  ＩＰＬ格納領域
２５  更新前プログラム
２７  更新後プログラム
２９  ＩＰＬ
【図１】
2006244269.tif 000003
【図２】
2006244269.tif 000004
【図３】
2006244269.tif 000005
【図４】
2006244269.tif 000006
【図５】
2006244269.tif 000007
【図６】
2006244269.tif 000008
【図７】
2006244269.tif 000009
【図８】
2006244269.tif 000010